Microsoft kämpft damit, von Anthropics Claude Mythos entdeckte Fehler zu beheben

Anthropics Claude Mythos hat Berichten zufolge Hunderte von Sicherheitslücken in Microsoft-Produkten gefunden, darunter allein im April 231 schwerwiegende SharePoint-Schwachstellen.

Die Ergebnisse zeigen, wie künstliche Intelligenz die Fehlererkennung beschleunigen kann. Sie verdeutlichen aber auch den wachsenden Druck auf die Entwicklungsteams von Microsoft, Schwachstellen schnell zu untersuchen und zu beheben.

Microsoft-Mitarbeiter lobten Claude Mythos

Laut ProPublica lobten Microsoft-Mitarbeiter während einer internen Besprechung im Mai die Claude Mythos Preview von Anthropic.

Anthropic gewährte Berichten zufolge rund 40 Partnern, darunter Microsoft, Google, Apple und Amazon, vorzeitigen Zugang. Das Unternehmen hat den Zugriff auf Mythos 5 inzwischen nach Genehmigung durch die US-Regierung wiederhergestellt.

Während des Microsoft-Meetings diskutierten die Mitarbeiter, wie effektiv das Modell große Codebasen untersuchen und potenzielle Sicherheitsschwächen identifizieren konnte.

Claude Mythos fand 231 schwerwiegende SharePoint-Schwachstellen

Claude Mythos identifizierte im April Berichten zufolge 90 kritische und 141 wichtige SharePoint-Sicherheitslücken.

Die Zahlen bezogen sich nur auf SharePoint. Hunderte weiterer Schwachstellen wurden dem Vernehmen nach in anderen Microsoft-Produkten und -Diensten entdeckt.

Microsoft-Manager wiesen die Entwicklungsteams an, kritische und wichtige Probleme vorrangig zu behandeln. Schwachstellen mit mittlerem Schweregrad würden später behoben, da die Teams nicht genügend Ressourcen hatten, um jeden Fund sofort zu bearbeiten.

Mittelschwere Schwachstellen können dennoch ernste Risiken darstellen

Eine Schwachstelle mit mittlerem Schweregrad mag bei isolierter Betrachtung weniger dringlich erscheinen. Angreifer können jedoch mehrere Schwächen mit geringerem Schweregrad kombinieren, um eine gefährlichere Exploit-Kette zu bilden.

Das macht eine verzögerte Behebung riskant, zumal KI-Werkzeuge die Geschwindigkeit erhöhen, mit der Sicherheitsforscher und Angreifer Software analysieren können.

Microsoft hat bereits gewarnt, dass KI das Hinauszögern von Windows-Updates gefährlicher macht. Eine schnellere Erkennung von Schwachstellen könnte den Zeitraum zwischen der Identifizierung einer Sicherheitslücke und deren Ausnutzung verkürzen.

KI verändert Microsofts Sicherheitsprozesse

Microsoft hat seine KI-gestützte Windows-Sicherheitsstrategie ausgeweitet, indem es KI-Tools in seine Entwicklungs-, Test- und Sicherheitspipelines integriert hat.

Das Unternehmen hat kürzlich auch MAI-Cyber-1-Flash vorgestellt, ein Cybersicherheitsmodell, das die Kosten automatisierter Sicherheitsuntersuchungen senken soll. Microsoft plant, das Modell in MDASH zu integrieren.

Diese Systeme können mehr Code prüfen und mehr Schwächen erkennen, als traditionelle Sicherheitsteams manuell identifizieren könnten. Allerdings führt das Auffinden von mehr Schwachstellen auch zu einem größeren Rückstau bei der Behebung.

Legacy-Code von Microsoft erhöht die Arbeitsbelastung

Microsoft-Produkte wie Windows, SharePoint und Microsoft 365 enthalten Code, der über mehrere Jahrzehnte hinweg entwickelt wurde.

Einige ältere Komponenten entsprechen möglicherweise nicht den modernen Sicherheitsstandards oder Entwicklungspraktiken. Die Überprüfung, Ersetzung und Modernisierung dieser Systeme erfordert erhebliche Entwicklungsressourcen.

KI kann helfen, Schwachstellen in diesen umfangreichen Codebasen zu identifizieren, doch Microsoft benötigt weiterhin Entwickler, um die Funde zu validieren, Korrekturen zu erstellen, Updates zu testen und Patches zu verteilen, ohne Kunden zu beeinträchtigen.

Microsoft überprüft Personalausstattung und Sicherheitsinvestitionen

Microsoft teilte ProPublica mit, dass das Unternehmen weiterhin überprüft, wie seine Teams Schwachstellen klassifizieren und priorisieren.

Das Unternehmen evaluiert zudem Personalstärke, Sicherheitsinvestitionen und Entwicklungswerkzeuge, da die KI die Zahl der entdeckten Probleme erhöht.

Die Herausforderung dreht sich nicht mehr nur darum, Schwachstellen zu finden. Microsoft muss auch sicherstellen, dass seine Entwicklungsteams sie schnell genug bearbeiten und beheben können.

Die breitere KI-Strategie des Unternehmens könnte ihm helfen, für jede Aufgabe das beste Modell auszuwählen. Microsoft fordert OpenAI und Anthropic heraus, indem es die Abhängigkeit von einem einzigen KI-Anbieter vermeidet und seinen Teams Zugriff auf verschiedene Modelle je nach Kosten, Leistung und Sicherheitsanforderungen gewährt.

KI-gestützte Fehlererkennung könnte die Softwaresicherheit erheblich verbessern. Sie könnte auch mehr Schwachstellen aufdecken, als die Entwicklungsteams sofort bewältigen können, was die Bedeutung von Personalausstattung, Priorisierung und schnellerer Patch-Entwicklung erhöht.